← España

PS-00016-2022

1/20  Procedimiento Nº: PS/00016/2022 IMI Reference: A60DD 403656 - A61VMA 298021 - Case Register 79805 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la autoridad francesa de protección de datos. La reclamación se dirige contra VACACIONES EDREAMS, S.L., con NIF B61965778 (en adelante, EDREAMS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante ha solicitado por e-mail a EDREAMS acceso a la grabación de todos los intercambios telefónicos mantenidos con la empresa, pero, transcurrido un mes, no ha recibido ninguna contestación. Fecha en la que tuvieron lugar los hechos reclamados: 5 de enero de 2021 Junto con la reclamación aporta: - Captura de correo electrónico enviado por la parte reclamante a las direcciones customerservice-fr@contact.edreams.com y service.client@edreams.com, de fecha 5 de enero de 2021, en el que realiza una queja sobre una compra realizada en dólares canadienses y solicita acceso a todas las conversaciones mantenidas entre la parte reclamante y el servicio de atención al cliente de EDREAMS los días 14 de agosto de 2020, 26 de octubre de 2020, 17 de noviembre de 2020 y 28 de diciembre de 2020, y aporta los siguientes datos para su identificación: nombre y apellido, fecha de nacimiento y cuatro últimos dígitos de su tarjeta de crédito. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 21 de mayo 2021 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) ese mismo día. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que EDREAMS tiene su sede social y establecimiento único en España. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/20 Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Francia, las autoridades de Portugal, Italia, Baja Sajonia (Alemania) y Dinamarca. Todas ellas en virtud del artículo 4.22.

  1. b)del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 1 de junio de 2021, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Contestación a requerimiento de información presentada en representación de EDREAMS con registro de entrada O00007128e2100036021, con entrada en la AEPD el 27 de agosto de 2021, en la que se aporta, entre otra, la siguiente información: 1. Declaración de que no han recibido ninguna solicitud de la parte reclamante a través del formulario de privacidad de su página web, por lo que no ha sido tratado por un agente especializado sino que ha sido tratado por el servicio de atención al cliente. 2. Declaración de que se produjo un error en esta solicitud porque el agente del servicio de atención al cliente que atendió esta solicitud la cerró de manera manual sin gestionarla de acuerdo a los procesos internos; estos procesos internos indican que, en estas solicitudes hay que responder haciendo referencia al formulario de privacidad o escalar el ejercicio de derecho internamente. 3. Declaración de que han respondido a la parte reclamante a raíz de tener conocimiento de esta reclamación. Y aportan una captura de un correo electrónico dirigido a la parte reclamante en francés (y su traducción al español), en el que se indica que se adjuntan las grabaciones. 4. Respecto a las causas que originaron esta incidencia, declaración de que se produjo debido a un error humano que se produjo en una situación en la que el servicio de atención al cliente vio triplicado el número de solicitudes recibidas debido a las cancelaciones causadas en la agencia de viajes por la COVID-19. 5. Declaración de que se han adoptado las siguientes medidas: enviar un recordatorio en la newsletter semanal a los agentes de atención al cliente sobre la centralización de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/20 atención a derechos de protección de datos en el Formulación de Privacidad para que sean atendidos por agentes especializados; adelantar la formación en protección de datos e incluir el caso de esta reclamación dentro de un supuesto práctico en la formación; informar en una reunión al agente que trató la solicitud y a su gerente sobre lo ocurrido; e incluir un recordatorio de la existencia del Formulario de Privacidad en el correo electrónico que se reciben los interesados automáticamente como respuesta a los correos recibidos en el servicio de atención al cliente. En fecha 30 de diciembre de 2021, se realiza una búsqueda en el sitio https://web.archive.org de los datos históricos que aparecían en la Política de privacidad del sitio web de EDREAMS dirigido al público español (https://www.edreams.es/politica-deprivacidad/) el día 13 de enero de 2021 y dirigido al público francés (https://www.edreams.fr/ politique-confidentialite/) el día 20 de enero de 2021, obteniéndose la siguiente información: 6. En ambas políticas de privacidad se indica que su última actualización tuvo lugar en junio de 2019. 7. En ambas políticas de privacidad se indican dos medios para ejercer los derechos: a través un formulario online, o a través de una dirección postal. Concretamente, en la política de privacidad en español se indica lo siguiente: “Para poder ejercer tus derechos, haz clic aquí o envía tu solicitud por correo postal a la siguiente dirección: Protección de datos – Calle Bailén, 67, 08009 Barcelona, España, Unión Europea. En tu solicitud debes indicar claramente tu identidad, especificando tu nombre completo y la dirección de email que utilizaste para realizar la compra o crear una cuenta, y los derechos que deseas ejercer.” QUINTO: Con fecha 12/01/2022, la Directora de la AEPD adoptó una propuesta de proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 09/02/2022 se transmitió a través del Sistema IMI esta propuesta y se les hizo saber a las autoridades interesadas que tenían dos semanas desde ese momento para realizar sus comentarios. Dentro del plazo a tal efecto, las autoridades de control interesadas realizaron sus comentarios al respecto. SEXTO: Con fecha 24/05/2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 02/06/2022 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) el día 25/05/2022, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/20 SÉPTIMO: Con fecha 15/07/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EDREAMS, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, en el que se le indica que tiene un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, fue recogido en fecha 18/07/2022, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 30/07/2022, se recibe en esta Agencia, en tiempo y forma, escrito de EDREAMS en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: “PRIMERA. - EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA. EDREAMS centraliza la gestión del ejercicio de derechos (incluido el derecho de acceso) a través de su Formulario de Privacidad. De esta forma, se facilita a los usuarios el ejercicio de dichos ejercicios, mediante esta herramienta de fácil acceso, enlazada en nuestro Aviso de Privacidad y gestionada mediante un proceso definido y por un equipo formado y dedicado a tal efecto. El Formulario de Privacidad permite a su vez automatizar parte del proceso, con el fin de proporcionar una mejor y más rápida respuesta. Inicialmente, el interesado ejerce su derecho mediante el Formulario de Privacidad. Dicha solicitud está exclusivamente condicionada a que los agentes especializados en la gestión de éstos derechos puedan confirmar la información y se tengan suficientes garantías de que la persona dice ser quien es y/o de que la representación de un tercero está suficientemente acreditada (normalmente la confirmación pasa porque el cliente, que recibe un correo electrónico de verificación, confirme en su correo electrónico personal registrado en nuestros sistemas que ha solicitado el correspondiente derecho). Tras dicha confirmación, se conecta con los departamentos oportunos, para ejecutar las acciones correspondientes en base al derecho ejercido. Finalmente, una vez las acciones necesarias han sido realizadas, se procede a dar respuesta al interesado de acuerdo a una guía interna (en este caso, la guía del derecho de acceso). Este proceso se realiza de acuerdo con nuestro Aviso de Privacidad y nuestra Política interna de privacidad (ver Anexo 1 - Índice y sección aplicable de la Política interna de privacidad), así como de los procedimientos internos; en concreto la Guía interna sobre el ejercicio del derecho de acceso (ver Anexo 2 - Guía interna sobre el ejercicio del derecho de acceso) y con la normativa de protección de datos: Artículo 12 RGPD: “El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/20 comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos.” Artículo 11.1 LOPDGDD2: “Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.” Artículo 12.2 LOPDGDD: “2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.” En este sentido queremos insistir que no denegamos el ejercicio del derecho (que además se hubiera gestionado de ser ejercido por el Formulario de Privacidad por el equipo y proceso dedicados a tal fin) sino que la situación de excepcionalidad y un error humano en un agente dieron lugar a no reiterar una vez más al CLIENTE, de acuerdo con nuestro Aviso de Privacidad, la disponibilidad del Formulario de Privacidad para el ejercicio de sus derechos. Desarrollaremos este punto en la segunda alegación. Asimismo, estableceremos porqué y cómo hemos mitigado el riesgo de que esto suceda de nuevo. Comisión Europea - ¿Cómo debemos tramitar las solicitudes de las personas que ejercen sus derechos en materia de protección de datos?: “Cuando los datos personales se tratan con medios electrónicos, ustedes deben ofrecer medios para que las solicitudes se presenten electrónicamente.” AEPD - Ejerce tus derechos: “El responsable está obligado a informarte sobre los medios para ejercitar estos derechos. Estos medios deben ser accesibles y no se puede denegar este derecho por el solo motivo de que optes por otro medio”. A mayor abundamiento, EDREAMS es consciente de que los clientes pueden ponerse en contacto con nosotros por distintas vías con finalidades diversas. Por ello, formamos a nuestros agentes de Atención al cliente y realizamos acciones de concienciación respecto al ejercicio de derechos. Del mismo modo, facilitamos una guía de respuesta a la que más adelante nos referiremos, con la finalidad que sepan detectar el ejercicio de derechos y sepan reiterar la información ya recogida en nuestro Aviso de Privacidad, respecto al Formulario de Privacidad como medio para ejercer los derechos. SEGUNDA.- EDREAMS REALIZA ESFUERZOS EXTRA EN CANALES GENÉRICOS DE ATENCIÓN AL CLIENTE CON EL FIN DE DAR EL MEJOR SERVICIO A SUS CLIENTES. En primer lugar, es menester confirmar que tras las investigaciones internas comprobamos que el CLIENTE no ejerció su derecho de acuerdo con nuestro Aviso de Privacidad, mediante nuestro Formulario de Privacidad (mencionado en la alegación primera y mediante el cual se garantiza que un agente especializado gestione la correspondiente solicitud). En segundo lugar, hemos analizado los buzones de correo electrónico genéricos de Atención al cliente y hemos comprobado que recibimos una solicitud del CLIENTE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/20 Nos hemos puesto en contacto con el equipo de Atención al cliente que nos ha informado que el agente cerró por error manual el ticket sin haberlo gestionado adecuadamente en base a nuestros procesos internos que garantizan la correspondiente gestión de dicha petición, haciendo referencia a nuestro Formulario de Privacidad (como tienen indicado en el proceso interno de gestión de derechos de protección de datos) o a escalar el ejercicio de derecho internamente al departamento especializado que se encarga de ello. Este error manual del agente se produce al recibir la comunicación el 5 de enero de 2021, en el que el agente no abre ticket interno de respuesta y por ello no le indica al CLIENTE que ejerza el derecho en el Formulario de Privacidad, como hubiera debido hacer en aquel momento. Además, esto se produce en un contexto de situación excepcional en la cual se encontraba EDREAMS dada la saturación sin precedentes de solicitudes en nuestros buzones de correo electrónico de Atención al cliente que recibimos por la situación provocada por la COVID-19. Hemos solicitado al equipo de Atención al cliente la cantidad de correos electrónicos recibidos en nuestros buzones de correo electrónico de Atención al cliente generales y que facilitamos con carácter confidencial a la Agencia Española de Protección de Datos: en el mes en el que se produjo la comunicación del CLIENTE al departamento de Atención al cliente, y debido a toda la crisis del COVID-19, tuvimos un tráfico de recepción de comunicaciones consistente en un incremento de 450% respecto a las comunicaciones recibidas el mismo mes del año anterior; en concreto recibimos un total de 63.837 comunicaciones en el mes de enero de 2021, siendo esta una saturación excepcional sin precedentes. Pese a estas circunstancias devastadoras tanto económicamente como organizativamente, hemos intentado continuar contestando de la mejor manera posible a todas las solicitudes de nuestros clientes, consiguiendo soporte interno de otros equipos para esta gestión y hemos intentado salir de estos meses lo mejor posible. En esos canales de Atención al cliente se intenta contestar lo antes posible pero no existe ningún plazo fijo determinado de respuesta, ya que depende del filtrado de temas y la priorización de los mismos, que se realiza de forma manual por el equipo de Atención al cliente y que conlleva riesgos de incorrecta categorización manual a diferencia de lo que ocurre cuando se ejercitan por el medio adecuado y proporcionado para el ejercicio de derechos (el Formulario de Privacidad). Y es precisamente por dicha razón que se creó un medio específico (mediante el Formulario de Privacidad), cumpliendo con la normativa de protección de datos y con el fin de ser capaces de ofrecer un proceso maduro y lo más garantista y transparente posible para que los clientes ejerzan sus derechos de protección de datos. Además, dicho proceso lo hemos automatizado con una herramienta de privacidad especializada (***HERRAMIENTA.1), para reducir riesgos y mejorar nuestras respuestas, y se gestiona con alertas para evitar que venzan plazos y dar respuesta a los clientes lo antes posible y con un plazo máximo de treinta días. Prueba de lo mismo es la gestión de la respuesta prioritaria e inmediata al ejercicio del derecho del CLIENTE con máxima celeridad desde que tuvimos conocimiento del mismo: fue asignado a un especialista senior para dar tratamiento a este ejercicio de derecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/20 inmediatamente, realizando todas las acciones internas en nuestros sistemas, las comprobaciones oportunas y el CLIENTE conformemente respondido. Muy a nuestro pesar, el caso del CLIENTE no se dirigió correctamente a la información oportuna y al Formulario de Privacidad. Las circunstancias excepcionales y el error manual del agente, así como las medidas implementadas (que les trasladamos a continuación), hacen que el riesgo de reproducirse este caso sea remoto. TERCERA.- MEJORA CONTINUA DEL LA TRANSPARENCIA SOBRE EL EJERCICIO DE DERECHOS Aprovechamos este caso (producido por no ejercitar el derecho de forma correcta y a través de los medios adecuados así como por un error manual del agente que no siguió nuestras políticas y guías internas, en un contexto además de excepcionalidad) como una oportunidad para analizar todas las causas y circunstancias de este caso, referidas anteriormente en la segunda alegación, y que nos han permitido tomar medidas extra para evitar que se produzcan situaciones similares. Nos gustaría hacer hincapié en que consideramos que nuestro programa de cumplimiento normativo en el ámbito de la privacidad y protección de datos se sustenta en el continuo monitoreo y continua mejora y aprendizaje con el fin de aumentar los niveles de cumplimiento normativo. En este contexto de ejercicio de derechos, también mantenemos la misma filosofía y tomamos muy en serio los derechos de los interesados, no solo como una acción de cumplimiento normativo fundamental, sino porque es la mejor manera de garantizar la confianza de nuestros clientes. Es por ello, que disponemos de un equipo dedicado y formado específicamente, así como un proceso interno de ejercicio de derechos de protección de datos, para garantizar la mejor respuesta posible a nuestros clientes, mediante el Formulario de Privacidad, y los sistemas internos de coordinación para tratar dichas peticiones de acuerdo con la normativa. Asimismo, como esfuerzo extra para la garantía y salvaguarda del ejercicio de derechos, se forma e indica a los agentes de Atención al cliente para que en caso de recibir cualquier asunto de protección de datos personales, deben dirigir al cliente al Formulario de Privacidad para que éste así pueda ejercer sus derechos. Pese a entender que este caso se produce en las circunstancias excepcionales antes mencionadas, y al haber recibido varios errores manuales de agentes de Atención al cliente en canales genéricos de dicho servicio, hemos aprovechado para implementar un Formulario de Atención al cliente, que los clientes accederán, sea vía el Centro de ayuda de Atención al cliente, sea al enviar un correo electrónico a los buzones de correo electrónico genéricos de Atención al cliente todavía disponibles. Dicho formulario dispone de categorías tasadas, entre las cuales está la opción de ejercicio de derechos que te redirige a nuestro Formulario de Privacidad (como único medio que debe usarse para el ejercicio de cualquier derecho de los interesados a efectos de protección de datos personales; ya que se gestiona por un equipo especializado y dedicado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/20 a tal finalidad) (ver Anexo 3 - Formulario de Atención al cliente y Anexo 4 - Centro de ayuda y preguntas frecuentes). De esta forma, garantizamos un procedimiento especializado y garantista, a la vez que también redireccionamos a nuestros clientes que se pongan en contacto con nosotros por otros medios (como son los medios de contacto generales de Atención al cliente) con el fin de tener un sistema que permita que quien quiera ejercer sus derechos, pueda hacerlo sin problemas y mitigando los riesgos de errores manuales de agentes de Atención al cliente. Asimismo, formamos anualmente de forma obligatoria en materia de protección de datos y especializada en ejercicio de derechos, incluyendo supuestos prácticos como el presente caso, así como acciones de sensibilización por parte del equipo de Atención al cliente (ver Anexo 5 - Artículos de sensibilización sobre el ejercicio de derechos), como por ejemplo, cubriendo temas como “qué es un ejercicio de derechos de protección de datos” y “cómo acompañar a los clientes para que los ejerzan vía el Formulario de Privacidad”. Por otro lado, hemos realizado en los últimos meses una migración de la herramienta del Formulario de Privacidad y gestión de derechos, pasando de una genérica a una especializada en privacidad (como es ***HERRAMIENTA.1) en la cual aparte de ser gestionada por un equipo especializado y altamente cualificado y sensibilizado en materia de protección de datos, trabajamos en una automatización de procesos para poder ser más ágiles y reducir riesgos de errores humanos. Sentimos lo ocurrido en este caso excepcional. Al mismo tiempo entendemos que dadas las circunstancias y las medidas antes descritas, EDREAMS cumple con la normativa de protección de datos así como con las directrices de la propia AEPD (anteriormente referidas en la primera alegación) y que el cierre del procedimiento sancionador contra EDREAMS con un apercibimiento, conlleva una interpretación desproporcionada de máximos de la normativa de protección de datos, en un contexto de pandemia mundial con unos efectos nunca vividos, especialmente por la industria turística en la que ejerce su actividad dicha empresa, así como por los esfuerzos realizados por la misma, máxime cuando hemos mitigado que el riesgo de que vuelva a producirse casos similares a éste, con un Formulario de Atención al cliente que guía a los clientes en el caso de que, sin haber leído o ignorando el Aviso de Privacidad, quieran ejercer sus derechos, y puedan ser guiados conformemente y sus derechos gestionados, mediante el Formulario de Privacidad. Reiteramos el compromiso del equipo de EDREAMS en el trabajo incansablemente respecto al aprendizaje y la mejora continua de nuestros procesos, con el objetivo de no solo cumplir con la normativa, sino afianzar la confianza de nuestros clientes en nosotros. Y en este contexto, continuaremos en el seguimiento y mejora continua de las políticas, procesos, acciones y medidas aquí referidas.” NOVENO: Con fecha 02/09/2022, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que se propone a la Directora de la AEPD que dirija un apercibimiento a EDREAMS, con NIF B61965778, por una infracción del artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD. Esta propuesta de resolución, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/20 de las Administraciones Públicas (LPACAP), fue recogida en fecha 02/09/2022, como consta en el acuse de recibo que obra en el expediente. DÉCIMO: Con fecha 16/09/2022, se recibe en esta Agencia, en tiempo y forma, escrito de EDREAMS en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis, manifestaba que: “ ÚNICA.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA. EDREAMS se reitera en sus alegaciones previas y entiende que cumple con la normativa en los términos descritos a continuación. Por un lado, dispone de un canal oficial, el Formulario de Privacidad (Anexo 1 – Formulario de Privacidad), que es transparentemente informado y puesto a disposición de los interesados en nuestro Aviso de Privacidad, resultando de fácil acceso para el interesado (Anexo 2 - Aviso de Privacidad: ejercicio de derechos). Por el otro tiene procesos, herramientas, materiales formativos y demás medidas oportunas en las que se contempla que no se puede denegar el hipotético ejercicio de derechos por el simple hecho de que se ejercite por otros canales que no sean el canal oficial. En esta última dirección, EDREAMS trabaja incansablemente en mejora continua de las referidas medidas anteriormente, y que se acreditaron conformemente en la alegación tercera de nuestra respuesta al acuerdo de inicio de procedimiento sancionador de fecha 29 de julio de 2022 (con número de registro O00007128e22P0006395), para que en todos sus canales de Atención al cliente se redirija a los clientes al canal oficial y dedicado para la gestión de los mismos (el referido Formulario de Privacidad), en el caso de que se utilizasen para el ejercicio de derechos. Compartimos que una organización debe tener un canal oficial que recoja un pro cedimiento garantista en los términos recogidos por la normativa de protección de datos, así como unas medidas apropiadas que guíen la actuación de cualquier empleado de la misma a informar a cualquier interesado sobre cómo ejercer sus derechos de protección de datos. Sin embargo, una interpretación en la que se exija el mismo grado de diligencia que debe tener el canal oficial (siempre y cuando sea transparentemente informado en el Aviso de Privacidad) a cualquier otro canal de la organización, conllevaría, por un lado, una sobrecarga y dedicación de recursos desproporcionada de la organización y, por el otro, entendemos que resultaría contraria al hecho de que la normativa requiera un canal oficial para el ejercicio de derechos. La interpretación que recogemos anteriormente se basa en el hecho de que la norma en cuestión (el artículo 12.2 LOPDGDD) establece claramente que el responsable del tratamiento puede determinar un canal oficial, siempre y cuando sea fácilmente accesible (como es en nuestro caso). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/20 Resulta claro que la norma ha querido ir más allá y por ello requiere a las organizaciones una mayor cooperación para potenciar la eficacia de los derechos y, por ello, se ha recogido que las organizaciones no se puedan escudar en el hecho de que el correspondiente derecho se hubiera ejercido por otro canal del oficial, para directamente denegarlo sin más, sin tener controles internos al respecto (en el referido artículo 12.2 LOPDGDD). ¿Pero acaso eso significa que una organización debe tener en cualquier canal un sistema de filtración y gestión de tickets que, no solo sea urgentísimo -debido a la naturaleza urgente del plazo de ejercicio de derechos recogido en la normativa de protección de datos-, pero que además sea infalible, porque en caso contrario se abre expediente sancionador contra la organización, pese a tener medidas apropiadas para dichos canales no especialmente dedicados el ejercicio de derechos (pese a disponer de un canal oficial, que está transparentemente informado en el Aviso de Privacidad y fácilmente accesible de acuerdo con la normativa, así como medidas para reducir el riesgo de un posible error manual de un agente que gestiona un canal no oficial)? Esta parte considera desproporcionada una interpretación que conllevara una respuesta positiva a la pregunta anterior, por lo que ruega que se reconsidere di cha posición interpretativa, al entender que no se puede desprender dicha con clusión que, en la práctica, resultaría en que no hubiera un canal oficial, sino que cualquier canal de comunicación de la empresa pasaría a ser automáticamente un canal oficial de ejercicio de derechos. Si la ley hubiera pretendido tal conclusión, requiriendo el mismo nivel de diligen cia para cualquier canal de la organización, el redactado hubiera debido recoger el siguiente posicionamiento: “El responsable del tratamiento estará obligado a informar al afectado sobre el hecho de que en cualquier medio de contacto de la organización podrá ejercer los derechos que le corresponden, así como facilitar la lista de los mismos.” En el caso que nos ocupa, es menester insistir en que estos canales de Atención al cliente están destinados a finalidades de consumo, y, por lo tanto, no se puede tener una expectativa de canal de privacidad debido a su naturaleza, y exigir el mismo nivel de altísima diligencia que soporta un canal dedicado al ejercicio de derechos. Aun así, con el fin de intentar garantizar que el interesado tenga el Formulario de Privacidad a mano incluso pese a un posible despiste excepcional de un agente de Atención al cliente, hemos implementado una nota al pie de nuestros correos electrónicos genéricos de Atención al cliente, en la que se vuelve a informar al cliente, una vez más, de la existencia del Formulario de Privacidad para una gestión sencilla del ejercicio de derechos y que permite la correcta verificación de la identidad de los interesados (Anexo 3 - Nota al pie de los correos electrónicos de Atención al cliente). Por todo ello, esta parte considera que el precepto en cuestión requiere un deber de diligencia razonable, pero no maximalista. Y, en esta lógica, sin perjuicio de la posición anteriormente reconocida respecto a la interpretación del precepto en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/20 cuestión, queremos insistir en que sentimos lo ocurrido en este caso excepcional, y reiteramos el compromiso de EDREAMS en continuar trabajando incansablemente en la mejora continua de sus procesos, herramientas, y formación en todos sus canales de Atención al cliente para que, en el caso de que se utilizasen para el ejercicio de derechos, se dirija a los clientes al canal especial y dedicado para la gestión de los mismos (el referido Formulario de Privacidad). A efectos aclaratorios finales, entendemos que en la propuesta de resolución existe una errata en la mención al artículo 112.1 de la LPACAP (que se refiere a la resolución final), siendo únicamente aplicable el artículo 89.2 de la LPACAP (que se refiere a la propuesta de resolución) y, de acuerdo al mismo, presentamos aquí la presente alegación. Por todo ello, esta parte: SOLICITA 1. Que se tenga por presentada la presente alegación en tiempo y forma. 2. Que se tenga a bien en la resolución final, teniendo en cuenta que se trata de un error manual excepcional de incumplimiento de nuestras políticas y procedimientos internos, provocado por no haber ejercido el derecho de acceso por el canal destinado y descrito en nuestro Aviso de Privacidad (Formulario de Privacidad) habiéndose dirigido a canales genéricos de Atención al cliente en los cuales la expectativa de respuesta de ejercicio de derechos no puede ser la misma al estar destinados a temas de consumo. Asimismo, que se tenga a bien que EDREAMS ha actuado y actúa diligentemente en el respeto, defensa y ejercicio de los derechos de los interesados y siempre de forma colaborativa con la AEPD y que todo esto no se vea mermado por este caso excepcional.” De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante, con fecha 5 de enero de 2021, envió a las direcciones customerservice-fr@contact.edreams.com y service.client@edreams.com, sendos correos electrónicos en los que realiza una queja sobre una compra realizada en dólares canadienses y solicita acceso a todas las conversaciones mantenidas entre la parte reclamante y el servicio de atención al cliente de EDREAMS los días 14 de agosto de 2020, 26 de octubre de 2020, 17 de noviembre de 2020 y 28 de diciembre de 2020, y aporta los siguientes datos para su identificación: nombre y apellido, fecha de nacimiento y cuatro últimos dígitos de su tarjeta de crédito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/20 SEGUNDO: EDREAMS no facilitó a la parte reclamante el acceso a la grabación de todos los intercambios telefónicos mantenidos con la empresa, sin que la parte reclamante hubiese recibido ninguna contestación en el plazo de un mes. TERCERO: Según afirma EDREAMS en sus alegaciones, la falta de atención del ejercicio del derecho de acceso se produjo debido a que “…el agente cerró por error manual el ticket sin haberlo gestionado adecuadamente… Este error manual del agente se produce al recibir la comunicación el 5 de enero de 2021, en el que el agente no abre ticket interno de respuesta”. CUARTO: Según la búsqueda realizada en fecha 30 de diciembre de 2021, en el sitio https:// web.archive.org de los datos históricos que aparecían en la Política de privacidad del sitio web de EDREAMS dirigido al público español (https://www.edreams.es/politica-deprivacidad/) el día 13 de enero de 2021 y dirigido al público francés (https://www.edreams.fr/ politique-confidentialite/) el día 20 de enero de 2021, se pudo obtener la siguiente información: - En ambas políticas de privacidad se indica que su última actualización tuvo lugar en junio de 2019. - En ambas políticas de privacidad se indican dos medios para ejercer los derechos: a través un formulario online, o a través de una dirección postal. Concretamente, en la política de privacidad en español se indica lo siguiente: “Para poder ejercer tus derechos, haz clic aquí o envía tu solicitud por correo postal a la siguiente dirección: Protección de datos – Calle Bailén, 67, 08009 Barcelona, España, Unión Europea. En tu solicitud debes indicar claramente tu identidad, especificando tu nombre completo y la dirección de e-mail que utilizaste para realizar la compra o crear una cuenta, y los derechos que deseas ejercer.” FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/20 Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EDREAMS realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, correo electrónico y grabaciones de las llamadas, entre otros tratamientos. EDREAMS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que EDREAMS está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, EDREAMS tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el derecho de acceso a los datos personales se regula en el artículo 15 del RGPD. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por EDREAMS: 1.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA. La existencia de un “Formulario de Privacidad”, mediante el cual EDREAMS centraliza la gestión del ejercicio de derechos, no debe impedir que una solicitud de ejercicio de derechos en materia de protección de datos de carácter personal deba ser atendida cuando se presente por otros medios. Tal y como la propia EDREAMS recoge en sus alegaciones, el artículo 12.2 de la LOPDGDD dispone que: “El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/20 La actuación negligente del empleado en la atención a la solicitud del ejercicio del derecho de acceso no exime de responsabilidad a EDREMAS. La responsabilidad de la empresa en el ámbito sancionador por la actuación negligente de un empleado que suponga el incumplimiento de la normativa de protección de datos ha sido confirmada por la jurisprudencia del Tribunal Supremo. A este respecto, cabe traer a colación la Sentencia del Tribunal Supremo núm. 188/2022 (Sala de lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec. 7359/2020), cuyo Fundamento de Derecho Cuarto dispone: “El hecho de que fuese la actuación negligente de una empleada no le exime de su responsabilidad en cuanto encargado de la correcta utilización de las medidas de seguridad que deberían haber garantizado la adecuada utilización del sistema de registro de datos diseñado. Como ya sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec. 1916/2020) el encargado del tratamiento responde también por la actuación de sus empleados y no puede excusarse en su actuación diligente, separadamente de la actuación de sus empleados, sino que es la actuación "culpable" de éstos, consecuencia de la violación de las medidas de seguridad existentes la que fundamenta la responsabilidad de la empresa en el ámbito sancionador por actos "propios" de sus empleados o cargos, no de terceros.” Continua la sentencia argumentando acerca de la de la responsabilidad de las personas jurídicas en nuestro ordenamiento: “…Sencillamente sucede que, estando admitida en nuestro Derecho Administrativo la responsabilidad directa de las personas jurídicas, a las que se reconoce, por tanto, capacidad infractora, el elemento subjetivo de la infracción se plasma en estos casos de manera distinta a como sucede respecto de las personas físicas, de manera que, como señala la doctrina constitucional que antes hemos reseñado -SsTC STC 246/1991, de19 de diciembre (F.J. 2) y 129/2003, de 30 de junio (F.J. 8)- la reprochabilidad directa deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma". 2.- EDREAMS REALIZA ESFUERZOS EXTRA EN CANALES GENÉRICOS DE ATENCIÓN AL CLIENTE CON EL FIN DE DAR EL MEJOR SERVICIO A SUS CLIENTES. Las medidas adoptadas por EDREAMS en orden a procurar el debido cumplimiento por parte de sus empleados de la normativa de protección de datos, sin desvirtuar su responsabilidad en los hechos, junto con la rápida atención al ejercicio del derecho de acceso con motivo del requerimiento de información realizado por esta Agencia, han sido tenidas en cuenta a efectos de decidir el poder correctivo a aplicar, considerando el apercibimiento como más adecuado que la multa. 3.-MEJORA CONTINUA DERECHOS DE LA TRANSPARENCIA SOBRE EL EJERCICIO DE Tal y como se ha expuesto en contestación a la anterior alegación, las medidas adoptadas por EDREAMS para facilitar el ejercicio de derechos en materia de protección de datos, sin desvirtuar la responsabilidad derivada de la comisión de la infracción, han sido tenidas en cuenta a efectos de decidir el poder correctivo a aplicar, considerando el apercibimiento como más adecuado que la multa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/20 Formulada propuesta de resolución por el instructor del presente procedimiento, en el trámite de audiencia al interesado se presentan alegaciones por parte de EDREAMS reiterando sus alegaciones previas. Cabe señalar que la necesidad de que las solicitudes de ejercicio del derecho de acceso a los datos personales no se circunscriban a las peticiones realizadas a través de un canal determinado, es un criterio compartido con el Comité Europeo de Protección de Datos (en adelante, CEPD), el cual, en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos (según le atribuye el artículo 70 del RGPD), se encuentra elaborando unas orientaciones para proporcionar una base clara y transparente sobre el ejercicio del derecho de acceso (Directrices 01/2022 sobre los derechos de los interesados- el derecho de acceso) “Guidelines 01/2022 on data subject rights - Right of access”. En el apartado 3.1.2 (párrafos 52 a 57) de la versión sometida a consulta pública de las citadas Directrices (https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-ofaccess_0.pdf), se expresa lo siguiente acerca de los requisitos de la solicitud del ejercicio del derecho de acceso (traducción no oficial): “52. Como se señaló anteriormente, el RGPD no impone ningún requisito a los interesados en relación con el formulario de la solicitud de acceso a los datos personales. Por lo tanto, en principio no hay requisitos el RGPD que los interesados deben observar al elegir un canal de comunicación a través del cual entran en contacto con el responsable. 53. El CEPD anima a los responsables del tratamiento a que proporcionen los canales de comunicación más adecuados y fáciles de usar, de conformidad con el artículo 12, apartado 2, y el artículo 25, para permitir que el interesado realice una solicitud efectiva. No obstante, si el interesado realiza una solicitud a través de un canal de comunicación proporcionado por el responsable que es diferente del indicado como preferible, la solicitud se considerará, en general, eficaz y el responsable del tratamiento deberá tramitar dicha solicitud. En consecuencia, los responsables del tratamiento deben llevar a cabo todos los esfuerzos razonables para asegurarse de que se facilita el ejercicio de los derechos del interesado (por ejemplo, en caso de que el interesado envíe los datos la solicitud a un empleado que está de permiso, un mensaje automático informando al interesado sobre un canal de comunicación alternativo para su solicitud podría ser un esfuerzo razonable). 54. Cabe señalar que el responsable del tratamiento no está obligado a actuar en respuesta a una solicitud enviada al azar o dirección de correo electrónico incorrecta (o postal), no proporcionada directamente por el responsable, o a cualquier canal de comunicación que es evidente que no está destinado a recibir solicitudes relativas a los derechos del interesado, si el responsable del tratamiento ha proporcionado un canal de comunicación adecuado, que pueda ser utilizado por el interesado. 55. El responsable del tratamiento tampoco está obligado a responder a una solicitud enviada a la dirección de correo electrónico de sus empleados que no pueden participar en el tratamiento de solicitudes relativas a los derechos de los interesados (p. ej.conductores, personal de limpieza, etc.). Dichas solicitudes no se considerarán eficaces, si el responsable del tratamiento ha proporcionado claramente al interesado el canal de comunicación adecuado. Sin embargo, si el interesado envía una solicitud al empleado del responsable que se ocupa de los asuntos del interesado a diario (contacto único de un cliente, como, por ejemplo, administrador de cuentas personales), dicho contacto no debe ser considerado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/20 como aleatorio y el responsable debe hacer todos los esfuerzos razonables, para tramitar dicha solicitud de manera que pueda ser redirigida al punto de contacto y responder dentro de los plazos establecidos para por el GDPR. 56. No obstante, el CEPD recomienda, como buena práctica, que los responsables del tratamiento introduzcan, en la medida de lo posible, mecanismos para mejorar la comunicación interna entre los empleados en las solicitudes recibidas por aquellos que puedan no ser competente para atender tales solicitudes, con el fin de facilitar el ejercicio de los derechos de los interesados. 57. La fecha de recepción de la solicitud por parte del responsable del tratamiento activa, por regla general, el plazo de un mes para que el responsable del tratamiento facilite información sobre las medidas adoptadas en respuesta a una solicitud, de conformidad con el artículo 12, apartado 3 del RGPD. El CEPD considera como buenas prácticas de los responsables del tratamiento confirmar la recepción de las solicitudes por escrito, por ejemplo, enviando correos electrónicos (o información por correo, si fuese aplicable) a las personas solicitantes, que confirmen que sus solicitudes han sido recibidas y que el período de un mes va desde el día X hasta el día Y”. Estos criterios determinan una interpretación amplia en cuanto a la aceptación de las solicitudes del ejercicio del derecho de acceso dirigidas por un interesado al responsable del tratamiento. Con carácter general, la solicitud del ejercicio del derecho de acceso a los datos personales debe ser considerada eficaz, por lo que los responsables del tratamiento deben hacer todos los esfuerzos razonables para asegurar que se facilita el ejercicio de los derechos de los interesados. La parte reclamante envió la solicitud a dos correos electrónicos que pertenecen a EDREAMS, concretamente a su servicio de atención al cliente. Este servicio no puede entenderse excluido de la obligación de la atención de las solicitudes de ejercicio de derechos que formulen los clientes de EDREAMS, ya sea directamente o mediante traslado a la unidad correspondiente. Según el apartado 55 de la Guía 01/2022, el responsable del tratamiento no está obligado a responder a una solicitud, enviada a la dirección de correo electrónico de sus empleados, que no pueden participar en el tratamiento de solicitudes relativas a los derechos de los interesados, como conductores o servicio de limpieza. Sin embargo, un departamento cuya actividad es la atención al público, como es el servicio de atención al cliente de EDREAMS, que realiza funciones que conllevan el tratamiento de datos personales de los ciudadanos, no puede verse excluido de la obligación de atender a las solicitudes de sus clientes en el ejercicio del derecho de acceso a sus datos personales. De este modo, la propia EDREAMS, según explica en su alegación SEGUNDA, tiene procesos internos para que el equipo de atención al cliente gestione las solicitudes de ejercicio de derechos en materia de protección de datos, que no se aplicaron a la solicitud realizada por la parte reclamante: “…Nos hemos puesto en contacto con el equipo de Atención al cliente que nos ha informado que el agente cerró por error manual el ticket sin haberlo gestionado adecuadamente en base a nuestros procesos internos que garantizan la correspondiente gestión de dicha petición, haciendo referencia a nuestro Formulario de Privacidad (como tienen indicado en el proceso interno de gestión de derechos de protección de datos) o a escalar el ejercicio de derecho internamente al departamento especializado que se encarga de ello.” En el presente caso, a pesar de las medidas a que hace referencia EDREAMS, la falta de respuesta al ejercicio del derecho de acceso por la parte reclamante en el plazo de un mes a partir de la recepción de la solicitud ha quedado acreditada en el presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/20 Estas alegaciones no desvirtúan ninguno de los hechos probados, habiendo sido tenidas en consideración a los efectos de valorar las circunstancias concurrentes en la comisión de la infracción. Por todo lo expuesto, se desestiman todas las alegaciones. IV Derecho de acceso El artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  2. a)los fines del tratamiento;
  3. b)las categorías de datos personales de que se trate;
  4. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
  5. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  6. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  7. f)el derecho a presentar una reclamación ante una autoridad de control;
  8. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  9. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. En el presente caso, consta que la parte reclamante envió un correo electrónico a las direcciones customerservice-fr@contact.edreams.com y service.client@edreams.com, con fecha 5 de enero de 2021, en el que realiza una queja sobre una compra realizada en dólares canadienses y, a su vez, solicita acceso a todas las conversaciones mantenidas entre el reclamante y el servicio de atención al cliente de EDREAMS los días 14 de agosto de 2020, 26 de octubre de 2020, 17 de noviembre de 2020 y 28 de diciembre de 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/20 EDREAMS solo dio respuesta a esta solicitud una vez recibido el requerimiento de información de esta Agencia. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a EDREAMS, por vulneración del artículo 15 del RGPD. V Tipificación de la infracción del artículo 15 del RGPD La citada infracción del artículo 15 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  10. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…)
  11. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
  12. k)de esta ley orgánica. (…)” VI Sanción por la infracción del artículo 15 del RGPD Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
  13. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/20 (…)
  14. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por su parte, el considerando 148 del RGPD indica: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” De conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que la infracción en cuestión es leve a los efectos del artículo 83.2 del RGPD dado que en el presente caso, atendiendo a que no consta en esta Agencia que se hubieran resuelto procedimientos por infracciones similares de EDREAMS en el año anterior a los hechos, a que la parte reclamante envió la solicitud a las direcciones de correo electrónico de atención al cliente en vez de a la indicada en la política de privacidad o a través del formulario a tal efecto y a que la solicitud de acceso en cuestión fue atendida diligentemente una vez recibido el requerimiento de información de esta Agencia, todo lo cual permite considerar una disminución de la culpa en los hechos, por lo que se considera conforme a Derecho, no imponer sanción consistente en multa administrativa y sustituirla por dirigir un apercibimiento a EDREAMS. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR un apercibimiento a VACACIONES EDREAMS, S.L., con NIF B61965778, por una infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a VACACIONES EDREAMS, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. De acuerdo con lo establecido en el artículo 60.7 del RGPD, se informará de esta resolución, una vez sea firme, a las autoridades de control interesadas y al Comité Europeo de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/20 interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  15. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.